One Prompt Could Hijack AWS AI Agents and Steal Cloud Credentials
2026/10/10 CyberSecurityNews — すべての Amazon Bedrock AgentCore エージェントへの攻撃が、外部公開された特定の AI エージェントにプロンプトを 1件送信するだけで、同じ AWS アカウントおよびリージョン内の複数の AgentCore エージェントに影響が及ぶ可能性があることが、Zenity Labs の調査で判明した。AgentCorruption と名付けられた、この攻撃チェーンを用いる研究者は、非公開のチャット／ソースコード／長期メモリ／API キー／OAuth トークン／AWS Secrets Manager に保存されたシークレットにアクセスできた。
Amazon Bedrock AgentCore は、AI エージェントの構築と実行を支援するマネージド・サービスである。Zenity が発見したのは、Web リクエストを実行できるツールを備えたエージェントに対して、ローカルのメタデータ・エンドポイント 169.254.169.254 へのアクセスを指示できることである。
このメタデータ・サービスは、クラウド・ワークロードに一時的な AWS 認証情報を提供する。一連のリクエストは、エージェントの Firecracker microVM 内部から送信されたものであり、メタデータ・サービスは、エージェントの実行ロールに紐づく認証情報を返した。
これにより、プロンプト・インジェクションを起点とするサーバサイド・リクエスト・フォージェリ (SSRF) の攻撃経路が成立した。外部公開されたエージェントのチャット画面に、ソフトウェアの脆弱性が存在する必要はなく、エージェントがユーザーの要求に従い、許可された Web ツールまたはシェルツールを使用するだけで攻撃が成立する状態だった。
この事例が示すのは、信頼できないプロンプト／ネットワークアクセス／クラウド権限が組み合わされることで、通常のエージェント機能が危険なものになり得るという点である。同様のリスクは、OpenClaw のデータ漏えいや Amazon Q のコーディング・エージェントに関するインシデントでも確認されている。
Zenity によると、デフォルトの IAM ロールに付与された権限が、単一のエージェントに限定されていなかったことで、窃取した認証情報を悪用して広範なリソースにアクセスできる状態になっていた。研究者は、DescribeLogGroups を使用してエージェント ID を特定し、Amazon ECR からコンテナ・イメージを取得したほか、内部エージェントの呼び出しとセッション・イベントの読み取りを実行した。さらに、bedrock-agentcore:InvokeAgentRuntime／bedrock-agentcore:ListEvents／bedrock-agentcore:CreateEvent などの権限により、チャットへのアクセスや偽のメモリの作成も可能だった。
このメモリへのアクセスにより、リスクは単一のセッションを超えて持続する。攻撃者は後続の会話で、エージェントの目的を変更するための、隠れた指示を追加できる可能性があった。
さらに Zenity は、bedrock-agentcore:GetResourceApiKey および secretsmanager:GetSecretValue へのアクセスも確認した。これらの権限により、連携サービス向けの認証情報が漏えいする可能性がある。つまり、外部公開された 1 つのエージェントが、他の業務ツール／機密性の高いクラウドデータへの侵入経路となり得る状態だった。
Zenity は AWS に対して、2025年12月25日の時点で、このメタデータへのアクセスに関する問題を報告し、2026年1月12日には、実行ロールに付与される広範な権限の問題を報告した。それを受けて AWS は、2026年2月に新規デプロイメントを IMDSv2 に移行し、その後 IMDSv2 の使用を必須とした。
2026年9月29日の時点で Zenity は、広範なエージェント呼び出し／チャットへのアクセス／Secrets Manager へのアクセスなどの権限が、AWS により削除されたことを確認した。研究者によると、現在も報告された問題が修正されている。
その一方で AWS は、この発見を脆弱性と表現することに異議を唱えている。同社によると、メタデータ・サービスを通じてエージェント自身の実行ロールの認証情報にアクセスできることは、想定された動作であり、文書にも記載されている。また、AWS アカウント間のアクセスには、実行ロールとアクセス先リソースの双方で明示的な権限が必要だとしている。同社の認証情報に関するガイダンスでも、microVM 内のあらゆるコードや実行主体が、メタデータ・エンドポイントを呼び出せることを警告している。
セキュリティチームは、プラットフォーム側の変更だけに依存すべきではない。AWS が推奨するのは、本番環境で使用する IAM ロールを個別に作成し、各エージェントに必要なアクション／リソース名のみに権限を限定することだ。
組織に求められるのは、広範なワイルドカード権限の禁止／プロンプト入力の検証／アウトバウンド・ネットワーク・アクセスの制限／外部公開エージェントと内部エージェントの分離／CloudTrail および CloudWatch を使用した異常な API 呼び出しの監視である。さらに AWS が推奨するのは、AgentCore Gateway のアクセス制御を使用し、呼び出し元がランタイムへ直接アクセスすることで、制御を回避できないようにすることだ。
重要なのは、AI エージェントを単なるチャットボットではなく、クラウド・ワークロードとして扱う必要があるという点である。ツール／シークレット／ネットワーク経路／ロールが増えるたびに、悪意のプロンプトがアクセスできる範囲も広がる。そのため、アクセス権限のレビューは、デプロイ前だけではなく、変更のたびに実施する必要がある。
AI エージェント管理サービス Amazon Bedrock AgentCore における認証情報窃取の手法 AgentCorruption について解説する記事です。プロンプト・インジェクションや過大なアクセス権限の付与に伴い、構成要素の不正操作／非公開データ漏えい／設定情報の不正取得といった不具合が生じる危険性があります。対象となる製品は Amazon Bedrock AgentCore です。対応策としてアクセス権限の厳格化／プロンプト入力の検証／通信経路の分離が求められます。
You must be logged in to post a comment.